JP2020017909A - 端末及びプログラム - Google Patents

Abstract

【課題】一のユーザが複数の端末を用いてサービスにアクセスする場合における、２段階認証に係る処理負荷を軽減する。【解決手段】中継手段２１は、他の端末と、サービスの提供に際し２段階認証を求めるサーバ３０との通信を中継する。記憶手段２２は、他の端末を識別する第１の識別情報を記憶する。アクセス手段２３は、サーバにアクセスするアクセス手段であって、サーバ３０に送信するデータに自装置を識別する第２の識別情報が含まれる場合、そのデータに含まれる第２の識別情報に代えて、第１の識別情報をサーバ３０に送信する。【選択図】図３

Description

本発明は、端末及びプログラムに関する。

特許文献１には、あるデータ形式から別のデータ形式へのデータ変換の変換要求を、データ変換の種類ごとに保持する複数の変換要求保持手段と、データ変換を複数種類以上実行可能な複数の変換手段と、を有し、複数の変換手段は、複数の変換要求保持手段のうち、対応付けられている複数の変換要求保持手段が保持する変換要求に基づき、変換要求保持手段に対応する種類のデータ変換を行うことが記載されている。また、特許文献２には、事前にプリントサービスシステム側に登録していない画像形成装置でもそのシステムを介して印刷する技術として、ユーザ認証を行い、ユーザ情報と画像形成装置の情報とを含んだ登録要求を送信することにより、画像形成装置をプリントサービスシステムに登録する画像形成装置が記載されている。

また、特許文献３には、クラウド・プリントとローカル・プリントとを併用する場合におけるユーザの利便性を向上させる技術として、印刷サービスを介して印刷指示する第１の印刷モードと、印刷サービスを介さずに印刷指示する第２の印刷モードとにおいて、印刷ジョブの実行に関する入力を受け付ける印刷画面を表示する表示手段と、前記表示手段により表示された前記印刷画面を介して受け付けた入力に応じた経路で印刷ジョブを画像形成装置に転送するよう制御する制御手段と、を有し、前記表示手段は、前記第２の印刷モードとして、探索された画像形成装置のうち選択された画像形成装置に対する印刷設定を受け付けてから印刷指示する第３の印刷モードと、接続済みの画像形成装置に対して印刷設定を受け付けることなく印刷指示する第４の印刷モードとを含めて前記印刷画面を表示するシステムが記載されている。

特開２０１４−１２７１２７号公報 特開２０１３−１３２８９２号公報 特開２０１５−２２８１７８号公報

本発明は、一のユーザが複数の端末を用いてサービスにアクセスする場合における、２段階認証に係る処理負荷を軽減することを目的とする。

本発明の請求項１に係る端末は、他の端末と、サービスの提供に際し２段階認証を求めるサーバとの通信を中継する中継手段と、前記他の端末を識別する第１の識別情報を記憶する記憶手段と、前記サーバにアクセスするアクセス手段であって、該サーバに送信するデータに自装置を識別する第２の識別情報が含まれる場合、該データに含まれる第２の識別情報に代えて、前記第１の識別情報を前記サーバに送信するアクセス手段とを有することを特徴とする。

本発明の請求項２に係る端末は、請求項１に記載の構成において、前記記憶手段は、前記第１の識別情報を、前記端末又は該端末のユーザに関する情報に対応付けて記憶し、前記アクセス手段は、前記サーバにアクセスする際に取得される情報に対応する第１の識別情報を、前記第２の識別情報に代えて前記サーバに送信することを特徴とする。

本発明の請求項３に係る端末は、請求項１又は２に記載の構成において、前記中継手段は、中継する前記通信において前記端末から受信されるトークンを、該端末の第１の識別情報に対応付けて前記記憶手段に記憶し、前記アクセス手段は、前記サーバへのアクセスにおいて用いられるトークンに対応する第１の識別情報を前記記憶手段から読み出し、読み出した第１の識別情報を、前記第２の識別情報に代えて前記サーバに送信することを特徴とする。

本発明の請求項４に係る端末は、請求項３に記載の構成において、前記中継手段は、前記サーバとの通信に係るＳＳＬコネクションを張り替えることを特徴とする。

本発明の請求項５に係る端末は、サービスを提供する際に２段階認証を求めるサーバにアクセスするアクセス手段と、他の端末と前記サーバとの通信を中継する中継手段であって、前記端末から受信されたデータに該端末を識別する第１の識別情報が含まれる場合、該データに含まれる第１の識別情報に代えて、自装置を識別する第２の識別情報を前記サーバに送信する中継手段とを有することを特徴とする。

本発明の請求項６に係る端末は、請求項１乃至５のいずれか１項に記載の構成において、前記第１の識別情報及び前記第２の識別情報は、ＭＡＣ（Media Access Control）アドレス、ＩＰアドレス、及びＨＴＴＰ（Hypertext Transfer Protocol）ヘッダの少なくともいずれかを含むことを特徴とする。

本発明の請求項７に係るプログラムは、端末を識別する第１の識別情報を記憶する記憶手段を有するコンピュータに、前記端末と、サービスの提供に際し２段階認証を求めるサーバとの通信を中継するステップと、前記サーバに送信するデータに自装置を識別する第２の識別情報が含まれる場合、該データに含まれる第２の識別情報に代えて、前記第１の識別情報を前記サーバに送信するステップとを実行させるためのプログラムであることを特徴とする。

本発明の請求項８に係るプログラムは、コンピュータに、サービスを提供する際に２段階認証を求めるサーバにアクセスするステップと、他の端末と前記サーバとの通信を中継する中継手段であって、前記端末から受信されたデータに該端末を識別する第１の識別情報が含まれる場合、該データに含まれる第１の識別情報に代えて、自装置を識別する第２の識別情報を前記サーバに送信するステップとを実行させるためのプログラムであることを特徴とする。

請求項１及び７に係る発明によれば、一のユーザが複数の端末を用いてサービスにアクセスする場合における、２段階認証に係る処理負荷が軽減される。
請求項２に係る発明によれば、複数のユーザのそれぞれがサービスにアクセスする場合における、２段階認証に係る処理負荷が軽減される。
請求項３に係る発明によれば、端末の識別情報とトークンとが対応付けて事前に記憶されていない場合であっても、２段階認証に係る処理負荷が軽減される。
請求項４に係る発明によれば、端末の識別情報とトークンとが対応付けて事前に記憶されていない場合であっても、２段階認証に係る処理負荷が軽減される。
請求項５及び８に係る発明によれば、一のユーザが複数の端末を用いてサービスにアクセスする場合における、２段階認証に係る処理負荷が軽減される。
請求項６に係る発明によれば、一のユーザが複数の端末を用いてサービスにアクセスする場合における、２段階認証に係る処理負荷が軽減される。

情報処理システムの構成を例示するブロック図。 ＰＣ１０の機能構成を例示するブロック図。 画像処理装置２０の機能構成を例示するブロック図。 ＰＣ１０のハードウェア構成を例示するブロック図。 画像処理装置２０のハードウェア構成を例示するブロック図。 サーバ３０のハードウェア構成を例示するブロック図。 情報処理システム１の動作の流れを例示するシーケンス図。 情報処理システム１の動作の流れを例示するシーケンス図。 情報処理システム１の動作の流れを例示するシーケンス図。 情報処理システム１の動作の流れを例示するシーケンス図。

１．構成
図１は、本実施形態に係る情報処理システム１の構成を例示するブロック図である。情報処理システム１は、パーソナルコンピュータ（以下「ＰＣ」）１０、画像処理装置２０、サーバ３０ａ、サーバ３０ｂ及びＰＣ５０を備える。ＰＣ１０は例えば、デスクトップ型コンピュータ、ラップトップ型コンピュータ、スマートフォン、携帯電話機、タブレット型コンピュータ等の端末である。ＰＣ１０はサーバ３０ａ又はサーバ３０ｂが提供するサービスを利用する。

画像処理装置２０は、用紙等の媒体に画像を形成する画像形成処理や、原稿等の媒体に形成された画像を読み取る画像読取処理等の画像処理を行う。画像処理装置２０は、店舗やオフィスに設置され、複数のユーザにより共用される。画像処理装置２０はクラウドサービスへのスキャン文書の送信や、クラウドからの印刷データの取得（プルプリント）を行う。

サーバ３０ａはストレージサービスを提供するサーバである。サーバ３０ｂは、クラウド印刷サービス等の各種のサービスを提供するサーバである。クラウド印刷サービスは、通信回線２を介して提供される印刷サービスである。サーバ３０ｂにより提供されるクラウト印刷サービスはユーザ認証を要する。この実施形態では、サーバ３０ｂは２段階認証を行う。この実施形態において、２段階認証とは、ＩＤ及びパスワードによる認証（１回目の認証）に加えて、セキュリティコード等による認証（２回目の認証）を行うことにより、より安全にユーザ認証を行う仕組みである。サーバ３０ｂは、この２段階認証において、一のアクセス元からのアクセスについては２段階認証をスキップする「スキップ機能」を備える。このスキップ機能を有効にするかどうかは、ユーザ認証が成功した後にユーザにより選択される。サーバ３０ａ又はサーバ３０ｂの認証には、例えば、OAuth2.0やOpenID Connect等のプロトコルが用いられ、例えばＰＣブラウザ経由で認証が行われる。以下の説明では、サーバ３０ａとサーバ３０ｂとを各々区別する必要がない場合には、これらを「サーバ３０」と称する。

ＰＣ５０は例えば、デスクトップ型コンピュータ、ラップトップ型コンピュータ、スマートフォン、携帯電話機、タブレット型コンピュータ等の装置である。この実施形態では、ＰＣ５０は２段階認証の際に用いられる。

ＰＣ１０及び画像処理装置２０（本発明に係る端末の例）は、サーバ３０ａ及びサーバ３０ｂが提供するサービスにアクセスするクライアント端末である。ＰＣ１０と画像処理装置２０との両方がひとりのユーザにより利用される場合もある。この実施形態では、ＰＣ１０と画像処理装置２０のうちの一方がプロキシ機能を有し、他方がそのプロキシ機能を有するクライアント端末を経由して、サーバ３０ａ及びサーバ３０ｂにアクセスする。

ＰＣ１０、画像処理装置２０及びＰＣ５０は、通信回線２によりサーバ３０ａ及びサーバ３０ｂに接続されている。通信回線２は、例えばインターネット、移動体通信網、電話回線、及びＬＡＮ（local Area Network）などのうちの少なくとも１つを含む。

図２は、本実施形態に係るＰＣ１０（本発明に係る端末の一例）の機能構成を例示するブロック図である。ＰＣ１０は、アクセス手段１１及び中継手段１２を有する。アクセス手段１１は、サービスを提供する際に２段階認証を求めるサーバ３０にアクセスする。中継手段１２は、他の端末とサーバ３０との通信を中継する中継手段であって、他の端末から受信されたデータに該端末を識別する第１の識別情報が含まれる場合、そのデータに含まれる第１の識別情報に代えて、自装置を識別する第２の識別情報を、サーバ３０に送信する。

図３は、画像処理装置２０（本発明に係る端末の一例）の機能構成を例示するブロック図である。画像処理装置２０は、中継手段２１、記憶手段２２及びアクセス手段２３を有する。中継手段２１は、他の端末と、サービスの提供に際し２段階認証を求めるサーバ３０との通信を中継する。記憶手段２２は、他の端末を識別する第１の識別情報を記憶する。アクセス手段２３は、サーバ３０にアクセスするアクセス手段であって、サーバ３０に送信するデータに自装置を識別する第２の識別情報が含まれる場合、そのデータに含まれる第２の識別情報に代えて、第１の識別情報をサーバ３０に送信する。

図４は、ＰＣ１０のハードウェア構成を例示する図である。プロセッサ１０１は、ＰＣ１０の他の要素を制御するプロセッサである。メモリ１０２は、プロセッサ１０１がプログラムを実行するためのワークエリアとして機能する記憶装置であり、例えばＲＡＭ（Random Access Memory）を含む。記憶装置１０３は各種のプログラム及びデータを記憶する記憶装置であり、例えば、ＳＳＤ（Solid State Drive）又はＨＤＤ（Hard Disk Drive）を含む。通信ＩＦ１０４は、予め定められた無線又は有線の通信規格（例えば、Ｗｉ−Ｆｉ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）、又はイーサネット（登録商標））に従って他の装置と通信を行う。ＵＩ部１０５は例えばタッチスクリーンとキーとを備える。ＵＩ部１０５はＰＣ１０に内蔵されていてもよく、また、外付けされて外部接続されるものであってもよい。

この例で、メモリ１０２又は記憶装置１０３に記憶されているプログラムを、プロセッサ１０１が実行することにより、図２に示される機能が実装される。プログラムを実行しているプロセッサ１０１は、アクセス手段１１及び中継手段１２の例である。

図５は、画像処理装置２０のハードウェア構成を例示する図である。プロセッサ２０１は、画像処理装置２０の他の要素を制御するプロセッサである。メモリ２０２は、プロセッサ２０１がプログラムを実行するためのワークエリアとして機能する記憶装置であり、例えばＲＡＭ（Random Access Memory）を含む。記憶装置２０３は各種のプログラム及びデータを記憶する記憶装置であり、例えば、ＳＳＤ（Solid State Drive）又はＨＤＤ（Hard Disk Drive）を含む。通信ＩＦ２０４は、予め定められた無線又は有線の通信規格（例えば、Ｗｉ−Ｆｉ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）、又はイーサネット（登録商標））に従って他の装置と通信を行う。

ＵＩ部２０５は例えばタッチスクリーンとキーとを備える。ＵＩ部２０５は画像処理装置２０に内蔵されていてもよく、また、外付けされて外部接続されるものであってもよい。画像形成部２０６は電子写真方式で用紙等の媒体に画像を形成する。画像読取部２０７は原稿（媒体）の画像を光学的に読み取る。画像処理部２０８は、例えばＤＳＰ（Digital Signal Processor）やＧＰＵ（Graphics Processing Unit）を備え、各種の画像処理を実行する。給紙部２０９は画像形成部２０６に用紙等の媒体を供給する。

この例で、メモリ２０２又は記憶装置２０３に記憶されているプログラムを、プロセッサ２０１が実行することにより、図３に示される機能が実装される。プログラムを実行しているプロセッサ２０１は、中継手段２１及びアクセス手段２３の例である。記憶装置２０３は記憶手段２２の例である。

図６はサーバ３０のハードウェア構成を例示する図である。プロセッサ３０１は、サーバ３０の他の要素を制御するプロセッサである。メモリ３０２は、プロセッサ３０１がプログラムを実行するためのワークエリアとして機能する記憶装置であり、例えばＲＡＭを含む。記憶装置３０３は各種のプログラム及びデータを記憶する記憶装置であり、例えばＳＳＤ又はＨＤＤを含む。通信ＩＦ３０４は、予め定められた無線又は有線の通信規格に従って他の装置と通信を行う。

２．動作
この実施形態では、ＰＣ１０又は画像処理装置２０の一方にプロキシ機能を持たせ、他方のクライアント端末はプロキシ機能をもつクライアント端末を経由して、クラウド印刷サービスにアクセスする。なお、ＰＣ１０にプロキシ機能を持たせる場合は、プロキシ機能を実現するためのソフトウェアをＰＣ１０に予めインストールしておく必要がある。また、どちらのクライアント端末がプロキシになる場合であっても、提供サービスからはＰＣ１０からのアクセスにみえるようにする。これは、画像処理装置２０は複数のユーザに共用されるデバイスであり、画像処理装置２０のＩＰアドレスを２段階認証のスキップ対象とするのは好ましくないためである。

２−１．動作例１（画像処理装置２０がプロキシとして動作する場合）
まず、画像処理装置２０がプロキシ機能を備え、ＰＣ１０とサーバ３０との通信を画像処理装置２０が中継する場合の動作を説明する。この場合、ＰＣ１０のブラウザで予めプロキシ設定を行っておく必要がある。

この動作例では、プルプリントを行う場合を説明する。プルプリントは以下の（i）、（ii）の手順で行われる。（i）ユーザは、ＰＣ１０を用いて、印刷指示をクラウド上の印刷サービス（サーバ３０）に発行する。サーバ３０は、印刷要求を受け付ける前に、印刷サービスへのユーザ認証（２段階認証）を行う。（ii）次いで、ユーザは、画像処理装置２０を用いて印刷サービスにアクセスし、登録された印刷指示の印刷実行を要求する。サーバ３０は、印刷処理を実行する前に印刷サービスへのユーザ認証（２段階認証）を行う。

上述の（i）では、ＰＣ１０から印刷サービス（サーバ３０）にアクセスされる。一方、（ii）では、画像処理装置２０から印刷サービス（サーバ３０）にアクセスされる。すなわち、（i）と（ii）とでは、一のユーザにより異なるクライアント端末からサーバ３０にアクセスされる。

２−１−１．印刷指示の受付動作
まず、ユーザは、ＰＣ１０を用いてサーバ３０ａのＷｅｂＵＩのアドレスを指定し、サーバ３０ａに登録されているファイルの印刷要求を行う。

図７は、情報処理システム１の動作の流れを例示するシーケンス図である。ステップＳ１０１において、ＰＣ１０は、指定されたアドレスを用いてサーバ３０ａにアクセスする旨のリクエストを画像処理装置２０に送信する。このリクエストには、ＰＣ１０のＩＰアドレス（第１の識別情報の一例）が含まれる。

ステップＳ１０２において、画像処理装置２０は、ＰＣ１０から受信されたリクエストをサーバ３０ａに中継する。ステップＳ１０３において、サーバ３０ａは、ＵＲＬにより指定されたファイルのリストを含むレスポンスを、画像処理装置２０に送信する。ステップＳ１０４において、画像処理装置２０はサーバ３０ａから受信されたレスポンスをＰＣ１０に送信する。

ステップＳ１０５において、ＰＣ１０は受信されたファイルのリストをＵＩ部１０５に表示する。ユーザはＵＩ部１０５を用いて、表示されたリストから印刷したいファイルを指定する操作を行う。ユーザによりファイルが指定されると、ステップＳ１０６及びステップＳ１０７において、ＰＣ１０は、指定されたファイルを識別するファイルＩＤを含む印刷要求を、画像処理装置２０を介してサーバ３０ａに送信する。画像処理装置２０はＰＣ１０からサーバ３０ａへの通信を中継する。

ステップＳ１０８において、サーバ３０ａは印刷要求をサーバ３０ｂに送信する。サーバ３０ｂは、サーバ３０ａから印刷要求を受信すると、ステップＳ１０９において、印刷要求の送信元に対し認証を要する旨のレスポンスをサーバ３０ａに送信する。ステップＳ１１０及びステップＳ１１１において、サーバ３０ａは、画像処理装置２０を介してＰＣ１０に認証を要する旨のレスポンスをＰＣ１０に送信する。

ＰＣ１０は、画像処理装置２０を介してレスポンスを受信すると、受信したレスポンスに従い認証情報の入力を促す画面をＵＩ部１０５に表示する。ユーザはＵＩ部１０５を用いて認証情報（例えば、トークンとパスワード）を入力する。この実施形態においてトークンは、ユーザに割り当てられた文字列又はユーザに対し発行された文字列である。トークンは例えば、サーバ３０により発行されたワンタイムパスワード等の一時的に利用可能な文字列であってもよく、また、例えば、予めユーザに割り当てられたユーザＩＤであってもよい。

ステップＳ１１２、Ｓ１１３及びＳ１１４において、ＰＣ１０は、入力された認証情報を含むリクエストを、画像処理装置２０及びサーバ３０ａを介して、サーバ３０ｂに送信する。また、認証情報を含むリクエストを中継する際、画像処理装置２０は、リクエストに含まれるＩＤトークンと、ＰＣ１０のＩＰアドレスとを対応付けて、記憶装置２０３に記憶する。また、画像処理装置２０は、ＰＣ１０とサーバ３０ｂとの通信を中継する際に、特定のＵＲＬ（サーバ３０ａ又はサーバ３０ｂのＵＲＬ）に対しては、ＳＳＬ（Secure Sockets Layer）コネクションを張り替える処理を行う。

ステップＳ１１５において、サーバ３０ｂは、受信されたリクエストに含まれる認証情報を用いてユーザ認証を行う。このとき行われるユーザ認証は、２段階認証における１段階目の認証である。

１段階目の認証に成功した場合、サーバ３０ｂは、２段階認証の２段階目の認証をスキップするか否かを判定する。この判定は、受信されたリクエストにより特定されるアクセス元のクライアント端末により複数回連続してアクセスされているか否かにより判定される。ひとつのクライアント端末により複数回連続してサーバ３０ｂにアクセスがなされている場合、サーバ３０ｂは２段階認証における２回目の認証をスキップする。一方、そのクライアント端末からのアクセスが初回である場合、サーバ３０ｂは２段階認証における２回目の認証が必要であると判定する。複数回連続したアクセスであるか否かは、この動作例では、リクエストに含まれるＩＰアドレスにより判定される。リクエストに含まれるＩＰアドレスが同一である場合、アクセス元のクライアント端末は同一であると判定される。一方、リクエストに含まれるＩＰアドレスが異なる場合、アクセス元のクライアント端末は異なっていると判定される。

図７の例では、ＰＣ１０によるサーバ３０ｂへのアクセスが初回である（連続していない）ため、２段階認証の２回目の認証が必要であると判定される。そのため、サーバ３０ｂは、２段階認証の２回目の認証のための処理を実行する。すなわち、ステップＳ１１６において、サーバ３０ｂは、ユーザＩＤに対応付けられているアドレス宛に、２段階認証に要されるセキュリティコードを含むメッセージ（例えば、ＳＭＳ）を送信する。送信されたメッセージはＰＣ５０により受信される。

また、サーバ３０ｂは、ステップＳ１１７、Ｓ１１８及びＳ１１９において、サーバ３０ａ及び画像処理装置２０を介して、ＰＣ１０に２段階認証を要する旨のレスポンスを送信する。画像処理装置２０はサーバ３０ａとＰＣ１０との通信を中継する。

ＰＣ１０は、レスポンスを受信すると、ステップＳ１２０において、受信されたレスポンスに従って、セキュリティコードの入力を促す画面をＵＩ部１０５に表示する。ユーザは、ＰＣ１０のＵＩ部１０５を用いて、ＰＣ５０のＵＩ部に表示されたセキュリティコードを入力する。

セキュリティコードが入力されると、ステップＳ１２１、Ｓ１２２及びＳ１２３において、ＰＣ１０は、入力されたセキュリティコードを含むリクエストを画像処理装置２０及びサーバ３０ａを介してサーバ３０ｂに送信する。

サーバ３０ｂは、リクエストを受信すると、ステップＳ１２４において、受信されたリクエストに含まれるセキュリティコードを用いて２段階目のユーザ認証を行う。ユーザ認証に成功した場合、ステップＳ１２５において、サーバ３０ｂはステップＳ１０８で受信した印刷要求を受け付け、受け付けた印刷要求を処理リストに追加する。以上のようにしてサーバ３０ｂにおいて２段階認証がなされ、印刷指示がサーバ３０ｂで受け付けられる。

２−１−２．印刷動作
印刷指示の登録動作が完了した後、ユーザは、画像処理装置２０が設置された場所に移動し、画像処理装置２０のＵＩ部２０５を用いて印刷処理の実行を指示する。

図８は、情報処理システム１の印刷動作の流れを例示するシーケンス図である。ステップＳ２０１において、画像処理装置２０は、印刷指示のリストを要求する旨のリクエストを、サーバ３０ｂに送信する。このとき、画像処理装置２０は、リクエストに含めるＩＰアドレスとして、自装置のＩＰアドレスではなく、ＰＣ１０のＩＰアドレスをリクエストに含める。すなわち、画像処理装置２０は、サーバに送信するデータに自装置のＩＰアドレス（第２の識別情報の一例）が含まれる場合、自装置のＩＰアドレスに代えて、ＰＣ１０のＩＰアドレスをサーバ３０ｂに送信する。ＰＣ１０のアドレスは、画像処理装置２０の記憶装置２０３に記憶されているものが用いられる（図７のステップＳ１１２等）。

画像処理装置２０は、ユーザにより入力されるＩＤトークンをもとに、そのＩＤトークンに対応付けられたＩＰアドレスを記憶装置２０３から取得し、取得したＩＰアドレスを用いてサーバ３０ａへのアクセスを行う。すなわち、図８の例では、サーバ３０ｂでは、画像処理装置２０から受信されるリクエストは、画像処理装置２０が送信元ではなく、ＰＣ１０により送信されて画像処理装置２０により中継されて送られてきたリクエストとして扱われる。

ステップＳ２０２において、サーバ３０ｂは、ユーザ認証を要求する旨のレスポンスを画像処理装置２０に送信する。レスポンスを受信すると、画像処理装置２０は、受信したレスポンスに従い認証情報の入力を促す画面をＵＩ部１０５に表示する。ユーザはＵＩ部２０５を用いて認証情報（例えば、ＩＤトークンとパスワード）を入力する。

ステップＳ２０３において、画像処理装置２０は、入力された認証情報を含むリクエストをサーバ３０ｂに送信する。このとき、画像処理装置２０は、ユーザにより入力されたトークンに対応付けて記憶されているＰＣ１０のＩＰアドレスを記憶装置２０３から読み出し、読み出したＩＰアドレスを、自装置のＩＰアドレスに代えてサーバ３０ｂに送信する。ステップＳ２０４において、サーバ３０ｂは、受信されたリクエストに含まれる認証情報を用いてユーザ認証を行う。このとき行われるユーザ認証は、２段階認証における１段階目の認証である。

１段階目の認証に成功した場合、サーバ３０ｂは、ステップＳ２０５において、２段階認証の２段階目の認証をスキップするか否かを判定する。この判定は、受信されたリクエストにより特定されるアクセス元のクライアント端末により複数回連続してアクセスされているか否かにより判定される。この判定は、ステップＳ１１５の１回目の認証が成功した後で行われる判定と同様である。

図８の例では、画像処理装置２０によるサーバ３０ｂへのアクセスは初回である。しかしながら、画像処理装置２０からサーバ３０ｂへ送信されたリクエストには、画像処理装置２０のＩＰアドレスではなく、ＰＣ１０のＩＰアドレスが含まれている。そのため、サーバ３０ｂは、ＰＣ１０から連続してアクセスされていると判断し、２段階認証の２回目の認証をスキップする（ステップＳ２０６）。

ステップＳ２０７において、サーバ３０ｂは、印刷指示のリストを含むレスポンスを画像処理装置２０に送信する。ステップＳ２０８において、画像処理装置２０は、レスポンスに含まれる印刷指示のリストをＵＩ部２０５に表示する。ユーザはＵＩ部２０５を用いて、表示されたリストから実行させたい印刷指示を指定する操作を行う。

ユーザにより印刷指示が指定されると、ステップＳ２０９において、画像処理装置２０は、指定された印刷指示を識別する指示ＩＤを含むリクエストをサーバ３０ｂに送信する。

リクエストを受信すると、サーバ３０ｂは、ステップＳ２１０において、リクエストに含まれる指示ＩＤに対応する印刷データを画像処理装置２０に送信する。ステップＳ２１１において、画像処理装置２０は受信された印刷データを用いて用紙等の媒体に画像を形成する。

上述のようにこの動作例では、サーバ３０ｂに対し、画像処理装置２０は自装置がＰＣ１０であるかのように振る舞う。これにより、サーバ３０ｂは、ＰＣ１０と画像処理装置２０からのアクセスを、ＰＣ１０からの２回連続したアクセスであると判断し、２段階認証をスキップする。

ところで、２段階認証のスキップ機能は、最後に認証に成功したアクセス元に対して機能し、アクセス元が異なる場合には、一のユーザによるアクセスであっても２段階認証がスキップされない場合がある。また、２段階認証の２回目の認証がスキップされる場合であっても、アクセス元が前回と異なる場合には警告メールが送信される等の対策がとられているサービスもある。そのため、印刷指示の登録要求を行った装置（例えば、ＰＣ１０）と印刷処理の実行要求を行った装置（例えば、画像処理装置２０）とがそれぞれ異なる場合、ひとりのユーザによる操作であっても２段階認証のスキップ機能は働かず、両方の手順において２段階認証が必要とされる。

それに対しこの実施形態では、複数のクライアントのうち、１つがプロキシ機能を持ち、他のクライアントはプロキシ機能を持つクライアントを経由してサービスにアクセスすることで、提供サービスに対してひとつのアクセス元としてふるまう。上述の動作例１では、画像処理装置２０がプロキシとして動作し、画像処理装置２０がサーバ３０ｂにデータを送信する際に、自装置のＩＰアドレスに代えてＰＣ１０のＩＰアドレスを含める。これにより、一のユーザによるアクセスの際の２段階認証に係る処理負荷が軽減される。

２−２．動作例２（ＰＣ１０がプロキシとして動作する場合）
次いで、この実施形態の他の動作例を説明する。上述の動作例１では、画像処理装置２０がプロキシ機能を備え、ＰＣ１０とサーバ３０との通信を画像処理装置２０が中継した。それに対しこの動作例では、画像処理装置２０ではなくＰＣ１０がプロキシ機能を備え、画像処理装置２０とサーバ３０との通信をＰＣ１０が中継する。この場合、プロキシ機能を実装するためのソフトウェアをＰＣ１０に予めインストールしておく必要がある。

この動作例では、予め画像処理装置２０の記憶装置２０３に、クライアントＰＣのＩＰアドレスをユーザＩＤと対応付けて登録しておく。この登録は、ユーザがＵＩ部２０５を操作することにより行われてもよく、また、ユーザがＰＣ１０を操作し、ＰＣ１０から登録要求を画像処理装置２０に送信することにより行われてもよい。ＰＣ１０は、画像処理装置２０からサーバ３０ｂへのアクセスを中継する際、中継するリクエストに含まれる画像処理装置２０のＩＰアドレスに代えて、自装置（すなわちＰＣ１０）のＩＰアドレスをリクエストに含めてサーバ３０ｂへ送信する。

２−２−１．印刷指示の受付動作
まず、ユーザは、ＰＣ１０を用いてサーバ３０ａのＷｅｂＵＩのアドレスを指定し、サーバ３０ａに登録されているファイルの印刷要求を行う。

図９は、情報処理システム１の動作の流れを例示するシーケンス図である。ステップＳ３０１において、ＰＣ１０は、指定されたアドレスを用いてサーバ３０ａにリクエストを送信する。このリクエストには、ＰＣ１０のＩＰアドレス（第１の識別情報の一例）が含まれる。ステップＳ３０４において、サーバ３０ａは、ＵＲＬにより指定されたファイルのリストを含むレスポンスをＰＣ１０に送信する。

ステップＳ３０５において、ＰＣ１０は受信されたファイルのリストをＵＩ部１０５に表示する。ユーザはＵＩ部１０５を用いて、表示されたリストから印刷したいファイルを指定する操作を行う。ユーザによりファイルが指定されると、ステップＳ３０６において、ＰＣ１０は、指定されたファイルを識別するファイルＩＤを含む印刷要求をサーバ３０ａに送信する。

ステップＳ３０８において、サーバ３０ａは印刷要求をサーバ３０ｂに送信する。サーバ３０ｂは、サーバ３０ａから印刷要求を受信すると、ステップＳ３０９において、印刷要求の送信元に対し認証を要する旨のレスポンスをサーバ３０ａに送信する。ステップＳ３１１において、サーバ３０ａは、ＰＣ１０に認証を要する旨のレスポンスをＰＣ１０に送信する。ＰＣ１０は、画像処理装置２０を介してレスポンスを受信すると、受信したレスポンスに従い認証情報の入力を促す画面をＵＩ部１０５に表示する。ユーザはＵＩ部１０５を用いて認証情報（例えば、ＩＤトークンとパスワード）を入力する。

ステップＳ３１２及びＳ３１４において、ＰＣ１０は、入力された認証情報を含むリクエストを、サーバ３０ａを介してサーバ３０ｂに送信する。ステップＳ３１５において、サーバ３０ｂは、受信されたリクエストに含まれる認証情報を用いてユーザ認証を行う。このとき行われるユーザ認証は、２段階認証における１段階目の認証である。

１段階目の認証に成功した場合、サーバ３０ｂは、２段階認証の２段階目の認証をスキップするか否かを判定する。２段階目の認証をスキップするか否かの判定方法は、上述の動作例１における図７のステップＳ１１５で示した方法と同様である。図９の例では、ＰＣ１０によるサーバ３０ｂへのアクセスが初回である（連続していない）ため、２段階認証の２回目の認証が必要であると判定される。そのため、サーバ３０ｂは、２段階認証の２回目の認証のための処理を実行する。すなわち、ステップＳ３１６において、サーバ３０ｂは、ユーザＩＤに対応付けられているアドレス宛に、２段階認証に要されるセキュリティコードを含むメッセージ（例えば、ＳＭＳ）を送信する。送信されたメッセージはＰＣ５０により受信される。

また、サーバ３０ｂは、ステップＳ３１７及びＳ３１９において、サーバ３０ａを介して、ＰＣ１０に２段階認証を要する旨のレスポンスを送信する。ＰＣ１０は、レスポンスを受信すると、ステップＳ３２０において、受信されたレスポンスに従って、セキュリティコードの入力を促す画面をＵＩ部１０５に表示する。ユーザは、ＰＣ１０のＵＩ部１０５を用いて、ＰＣ５０のＵＩ部に表示されたセキュリティコードを入力する。

セキュリティコードが入力されると、ステップＳ３２１及びＳ３２３において、ＰＣ１０は、入力されたセキュリティコードを含むリクエストを、サーバ３０ａを介してサーバ３０ｂに送信する。サーバ３０ｂは、リクエストを受信すると、ステップＳ３２４において、受信されたリクエストに含まれるセキュリティコードを用いて２段階目のユーザ認証を行う。ユーザ認証に成功した場合、ステップＳ３２５において、サーバ３０ｂはステップＳ３０８で受信した印刷要求を受け付け、受け付けた印刷要求を処理リストに追加する。以上のようにしてサーバ３０ｂにおいて２段階認証がなされ、印刷指示がサーバ３０ｂで受け付けられる。

２−２−２．印刷動作
印刷指示の登録動作が完了した後、ユーザは、画像処理装置２０が設置された場所に移動し、画像処理装置２０のＵＩ部２０５を用いて印刷処理の実行を指示する。

図１０は、情報処理システム１の印刷動作の流れを例示するシーケンス図である。ステップＳ４０１において、画像処理装置２０は、印刷指示のリストを要求する旨のリクエストを、ＰＣ１０を介してサーバ３０ｂに送信する。ステップＳ４０２において、ＰＣ１０は、画像処理装置２０からのリクエストに含まれる画像処理装置２０のＩＰアドレスに代えて、自装置のＩＰアドレスをリクエストに含めてサーバ３０ｂに送信する。すなわち、ＰＣ１０は、中継するリクエストに含まれるＩＤトークンとＩＰアドレスの対が自装置に記憶されている場合、そのリクエストに含まれている画像処理装置２０のＩＰアドレスに代えて自装置のＩＰアドレスをそのリクエストに含めて転送する。また、このとき、ＰＣ１０は、画像処理装置２０とサーバ３０ｂとの通信を中継する際に、特定のＵＲＬ（サーバ３０ａ又はサーバ３０ｂのＵＲＬ）に対しては、ＳＳＬコネクションを張り替える処理を行う。

すなわち、この動作例では、サーバ３０ｂでは、画像処理装置２０から送信されたリクエストは、画像処理装置２０が送信元ではなく、ＰＣ１０により送信されてきたリクエストとして扱われる。

ステップＳ４０３及びステップＳ４０４において、サーバ３０ｂは、ユーザ認証を要求する旨のレスポンスを、ＰＣ１０を介して画像処理装置２０に送信する。ＰＣ１０は画像処理装置２０とサーバ３０ｂとの通信を中継する。この際、ＰＣ１０は、レスポンスに含まれる画像処理装置２０のＩＰアドレスに代えて自装置のＩＰアドレスをレスポンスに含めて転送する。

レスポンスを受信すると、画像処理装置２０は、受信したレスポンスに従い認証情報の入力を促す画面をＵＩ部１０５に表示する。ユーザはＵＩ部２０５を用いて認証情報（例えば、ＩＤトークン）を入力する。

ステップＳ４０５及びＳ４０６において、画像処理装置２０は、入力された認証情報を含むリクエストを、ＰＣ１０を介してサーバ３０ｂに送信する。ＰＣ１０は、中継を行う際に、レスポンスに含まれる画像処理装置２０のＩＰアドレスに代えて自装置のＩＰアドレスをレスポンスに含めて転送する。

ステップＳ４０７において、サーバ３０ｂは、受信されたリクエストに含まれる認証情報を用いてユーザ認証を行う。このとき行われるユーザ認証は、２段階認証における１回目の認証である。

１段階目の認証に成功した場合、サーバ３０ｂは、２段階認証の２段階目の認証をスキップするか否かを判定する（ステップＳ４０８）。この判定は、受信されたリクエストにより特定されるアクセス元のクライアント端末により複数回連続してアクセスされているか否かにより判定される。この判定は、図７のステップＳ１１５で示した、１回目の認証が成功した後で行われる判定と同様である。

図１０の例では、画像処理装置２０によるサーバ３０ｂへのアクセスは初回である。しかしながら、画像処理装置２０からサーバ３０ｂへ送信されたリクエストには、画像処理装置２０のＩＰアドレスではなく、ＰＣ１０のＩＰアドレスが含まれている。そのため、サーバ３０ｂは、ＰＣ１０から連続してアクセスされていると判定し、２段階認証の２回目の認証をスキップする（ステップＳ４０９）。

ステップＳ４１０及びＳ４１１において、サーバ３０ｂは、印刷指示のリストを含むレスポンスを、ＰＣ１０を介して画像処理装置２０に送信する。ステップＳ４１２において、画像処理装置２０は、レスポンスに含まれる印刷指示のリストをＵＩ部２０５に表示する。ユーザはＵＩ部２０５を用いて、表示されたリストから実行させたい印刷指示を指定する操作を行う。

ユーザにより印刷指示が指定されると、ステップＳ４１３及びＳ４１４において、画像処理装置２０は、指定された印刷指示を識別する指示ＩＤを含むリクエストを、ＰＣ１０を介してサーバ３０ｂに送信する。

リクエストを受信すると、サーバ３０ｂは、ステップＳ４１５及びＳ４１６において、リクエストに含まれる指示ＩＤに対応する印刷データを、ＰＣ１０を介して画像処理装置２０に送信する。ステップＳ４１７において、画像処理装置２０は受信された印刷データを用いて用紙等の媒体に画像を形成する。

この動作例では、ＰＣ１０は、画像処理装置２０から送られてきたリクエストに含まれるＩＰアドレスを自装置のＩＰアドレスに置き換えることにより、自装置が中継している画像処理装置２０からサーバ３０ｂへのアクセスを、自装置からのアクセスであるかのように振る舞う。これにより、サーバ３０ｂは、画像処理装置２０からのアクセスを、ＰＣ１０からの２回連続したアクセスであると判断し、２段階認証をスキップする。これにより、一のユーザによるアクセスの際の２段階認証に係る処理負荷が軽減される。

３．変形例
上述した実施形態は、本発明の実施の一例に過ぎず、以下のように変形させてもよい。また、上述した実施形態及び以下に示す各変形例は、必要に応じて組み合わせて実施されてもよい。

（１）上述の実施形態では、クライアント端末（ＰＣ１０、画像処理装置２０、等）を識別する識別情報として、ＩＰアドレスが用いられたが、クライアント端末を識別する識別情報はＩＰアドレス以外の情報であってもよい。例えば、クライアント端末を識別する識別情報として、ＭＡＣアドレスが用いられてもよい。また、クライアント端末を識別する識別情報として、例えば、ＨＴＴＰヘッダの「X-Real-IP」、「X-Forwarded-For」、「Remote_Addr」などが用いられてもよい。この場合、例えば、画像処理装置２０が、「X-Real-IP」に、自装置のＩＰアドレスではなくＰＣ１０のＩＰアドレスを設定して通信を行う。また、これらの複数の識別情報が併用されてもよい。

（２）上述の実施形態では、ＰＣ５０にセキュリティコードが送信され、ユーザが、ＰＣ５０で表示されるコードをＰＣ１０の画面に入力することにより、２段階認証の２回目の認証が行われた。セキュリティコードを受信するクライアント端末は、どの種類の端末であってもよく、例えば、スマートフォン、ラップトップ型コンピュータであってもよい。また、２段階認証の方法は上述した実施形態で示したものに限られない。例えば、特定のＷｅｂページにアクセスするためのＵＲＬが記述された電子メールが送信され、ユーザ操作によりそのＵＲＬにアクセスされることにより２回目の認証が行われてもよい。

（３）上述の実施形態では、サーバ３０によりクラウド印刷サービスが提供される場合について説明した。サーバにより提供されるサービスは上述の実施形態で説明したものに限られない。例えば、ストレージサービスや動画配信サービスがサーバにより提供される場合であってもよい。

（４）上述の実施形態では、記憶装置２０３には、ＩＤトークンとＰＣ１０のＩＰアドレスとが対応付けて記憶された。記憶装置２０３に記憶される情報は上述した実施形態で示したものに限られない。記憶装置２０３には、ＰＣ１０を識別する識別情報（第１の識別情報）が、ＰＣ１０に関する情報又はＰＣ１０のユーザに関する情報に対応付けて記憶されていればよい。ＰＣ１０のユーザに関する情報は例えば、ユーザを識別するユーザＩＤであってもよい。

（５）上述の実施形態では、画像処理装置２０が、ＰＣ１０とサーバ３０との通信を中継する際に、ＰＣ１０からサーバ３０に送信されるリクエストに含まれるＩＤトークンとＩＰアドレスとを対応付けて記憶装置２０３に記憶した（図７のステップＳ１１２等）。ＰＣ１０のＩＰアドレスとユーザを識別するＩＤトークンとを対応付けて記憶装置２０３に記憶するタイミングは、上述した実施形態で示したタイミングに限られない。例えば、画像処理装置２０が中継処理を行うのに先立って、ＰＣ１０が画像処理装置２０にアクセスし、画像処理装置２０がＰＣ１０のＩＰアドレスを検出し、記憶装置２０３に登録してもよい。また、例えば、画像処理装置２０が、図７のステップＳ１０１、Ｓ１０６等のタイミングにおいて、ＰＣ１０が画像処理装置２０を介してサーバ３０ａにアクセスする際に、通信経路を流れるＩＤトークンとアクセス元のＩＰアドレスを対応付けて記憶装置２０３に記憶してもよい。

（６）上述の実施形態において、ＰＣ１０のプロセッサ１０１、画像処理装置２０のプロセッサ２０１、又はサーバ３０のプロセッサ３０１により実行されるプログラムは、インターネットなどの通信回線を介してダウンロードされてもよい。また、これらのプログラムは、磁気記録媒体（磁気テープ、磁気ディスクなど）、光記録媒体（光ディスクなど）、光磁気記録媒体、半導体メモリなどの、コンピュータが読取可能な記録媒体に記録した状態で提供されてもよい。

１…情報処理システム、１０…ＰＣ、１１…アクセス手段、１２…中継手段、２０…画像処理装置、２１…中継手段、２２…記憶手段、２３…アクセス手段、３０…サーバ、５０…端末、１０１，２０１，３０１…プロセッサ、１０２，２０２，３０２…メモリ、１０３，２０３，３０３…記憶装置、１０４，２０４，３０４…通信ＩＦ、１０５，２０５…ＵＩ部、２０６…画像形成部、２０７…画像読取部、２０８…画像処理部。

Claims (8)

1. 他の端末と、サービスの提供に際し２段階認証を求めるサーバとの通信を中継する中継手段と、
   前記他の端末を識別する第１の識別情報を記憶する記憶手段と、
   前記サーバにアクセスするアクセス手段であって、該サーバに送信するデータに自装置を識別する第２の識別情報が含まれる場合、該データに含まれる第２の識別情報に代えて、前記第１の識別情報を前記サーバに送信するアクセス手段と
   を有する端末。
2. 前記記憶手段は、前記第１の識別情報を、前記端末又は該端末のユーザに関する情報に対応付けて記憶し、
   前記アクセス手段は、前記サーバにアクセスする際に取得される情報に対応する第１の識別情報を、前記第２の識別情報に代えて前記サーバに送信する
   請求項１に記載の端末。
3. 前記中継手段は、中継する前記通信において前記端末から受信されるトークンを、該端末の第１の識別情報に対応付けて前記記憶手段に記憶し、
   前記アクセス手段は、前記サーバへのアクセスにおいて用いられるトークンに対応する第１の識別情報を前記記憶手段から読み出し、読み出した第１の識別情報を、前記第２の識別情報に代えて前記サーバに送信する
   請求項２に記載の端末。
4. 前記中継手段は、前記サーバとの通信に係るＳＳＬコネクションを張り替える
   請求項３に記載の端末。
5. サービスを提供する際に２段階認証を求めるサーバにアクセスするアクセス手段と、
   他の端末と前記サーバとの通信を中継する中継手段であって、前記端末から受信されたデータに該端末を識別する第１の識別情報が含まれる場合、該データに含まれる第１の識別情報に代えて、自装置を識別する第２の識別情報を前記サーバに送信する中継手段と
   を有する端末。
6. 前記第１の識別情報及び前記第２の識別情報は、ＭＡＣアドレス、ＩＰアドレス、及びＨＴＴＰヘッダの少なくともいずれかを含む
   請求項１乃至５のいずれか１項に記載の端末。
7. 端末を識別する第１の識別情報を記憶する記憶手段を有するコンピュータに、
   前記端末と、サービスの提供に際し２段階認証を求めるサーバとの通信を中継するステップと、
   前記サーバに送信するデータに自装置を識別する第２の識別情報が含まれる場合、該データに含まれる第２の識別情報に代えて、前記第１の識別情報を前記サーバに送信するステップと
   を実行させるためのプログラム。
8. コンピュータに、
   サービスを提供する際に２段階認証を求めるサーバにアクセスするステップと、
   他の端末と前記サーバとの通信を中継する中継手段であって、前記端末から受信されたデータに該端末を識別する第１の識別情報が含まれる場合、該データに含まれる第１の識別情報に代えて、自装置を識別する第２の識別情報を前記サーバに送信するステップと
   を実行させるためのプログラム。

Images